Integración del inicio de sesión único de Microsoft Entra con Citrix ADC (autenticación basada en encabezados)

  • Artículo

En este tutorial, obtendrá información sobre cómo integrar Citrix ADC con Microsoft Entra ID. Al integrar Citrix ADC con Microsoft Entra ID, puede hacer lo siguiente:

  • Controlar en Microsoft Entra ID quién tiene acceso a Citrix ADC.
  • Permitir que los usuarios puedan iniciar sesión automáticamente en Citrix ADC con sus cuentas de Microsoft Entra.
  • Administre sus cuentas en una ubicación central.

Requisitos previos

Para empezar, necesita los siguientes elementos:

  • Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
  • Una suscripción habilitada para el inicio de sesión único (SSO) en Citrix ADC.

Descripción del escenario

En este tutorial va a configurar y probar el inicio de sesión único de Microsoft Entra en un entorno de prueba. El tutorial incluye estos escenarios:

Para integrar Citrix ADC con Citrix ADC, primero agregue la aplicación a la lista de aplicaciones SaaS administradas desde la galería:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Nueva aplicación.

  3. En la sección Agregar desde la galería, escriba Citrix ADC en el cuadro de búsqueda.

  4. En los resultados, seleccione Citrix ADC y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.

Si lo desea, puede usar también el asistente para la configuración de aplicaciones empresariales. En este asistente puede agregar una aplicación al inquilino, agregar usuarios o grupos a la aplicación y asignar roles, así como recorrer la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba del inicio de sesión único de Microsoft Entra para Citrix ADC

Configure y pruebe el inicio de sesión único de Microsoft Entra con Citrix ADC mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es necesario establecer una relación de vínculo entre un usuario de Microsoft Entra y el usuario relacionado de Citrix ADC.

Para configurar y probar el inicio de sesión único de Microsoft Entra con Citrix ADC, complete los siguientes pasos:

  1. Configure el inicio de sesión único de Microsoft Entra para que los usuarios puedan usar esta característica.

    1. Cree un usuario de prueba de Microsoft Entra, para probar el inicio de sesión único de Microsoft Entra con B.Simon.

    2. Asigne el usuario de prueba de Microsoft Entra , para permitir que B.Simon use el inicio de sesión único de Microsoft Entra.

  2. Configuración del inicio de sesión único de Citrix ADC, para definir los valores de inicio de sesión único en la aplicación.

  3. Prueba del inicio de sesión único : para comprobar si la configuración funciona.

Configuración del inicio de sesión único de Microsoft Entra

Para habilitar el inicio de sesión único de Microsoft Entra en Azure Portal, siga estos pasos:

  1. Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.

  2. Vaya al panel de integración de aplicaciones en Identidad>Aplicaciones>Aplicaciones empresariales>Citrix ADC y en Administrar, seleccione Inicio de sesión único.

  3. En el panel Seleccione un método de inicio de sesión único, seleccione SAML.

  4. En el panel Configurar el inicio de sesión único con SAML, seleccione el icono con forma de lápiz Editar para abrir el cuadro de diálogo Configuración básica de SAML y modificar la configuración.

    Edit Basic SAML Configuration

  5. En la sección Configuración básica de SAML, para configurar la aplicación en modo iniciado por IDP:

    1. En el cuadro de texto Identificador, escriba una dirección URL con el siguiente formato: https://<Your FQDN>.

    2. En el cuadro de texto URL de respuesta, escriba una dirección URL con el siguiente formato: https://<Your FQDN>/CitrixAuthService/AuthService.asmx.

  6. Para configurar la aplicación en modo iniciado por SP, seleccione Establecer direcciones URL adicionales y haga lo siguiente:

    • En el cuadro de texto URL de inicio de sesión, escriba una dirección URL con el siguiente formato: https://<Your FQDN>/CitrixAuthService/AuthService.asmx.

    Nota:

    • Las direcciones URL que se usan en esta sección no son valores reales. Actualice estos valores con los reales de Identificador, URL de respuesta y URL de inicio de sesión. Para obtener los valores, póngase en contacto con el equipo de soporte técnico al cliente de Citrix ADC. También puede consultar los patrones que se muestran en la sección Configuración básica de SAML.
    • Para configurar el inicio de sesión único, las direcciones URL deben ser accesibles desde sitios web públicos. Deberá habilitar el firewall u otras opciones de seguridad en Citrix ADC para que Microsoft Entra ID pueda publicar el token en la dirección URL configurada.

  7. En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, en Dirección URL de metadatos de federación de aplicación, copie la dirección URL y guárdela en el Bloc de notas.

    The Certificate download link

  8. La aplicación Citrix ADC espera que las aserciones de SAML en un formato específico, que requiere que se agreguen asignaciones de atributos personalizados a la configuración de los atributos del token de SAML. La siguiente captura de muestra la lista de atributos predeterminados. Seleccione el icono Editar y cambie la asignación de atributos.

    Edit the SAML attribute mapping

  9. La aplicación Citrix ADC también espera que se devuelvan algunos atributos más en la respuesta de SAML. En el cuadro de diálogo Atributos de usuario, en Notificaciones de usuario, complete los siguientes pasos para agregar los atributos del token SAML como se muestra en la tabla:

    Nombre Atributo de origen
    mySecretID user.userprincipalname

    1. Seleccione Agregar nueva notificación para abrir el cuadro de diálogo Administrar las notificaciones del usuario.

    2. En el cuadro de texto Nombre, escriba el nombre del atributo que se muestra para esa fila.

    3. Deje Espacio de nombres en blanco.

    4. En Atributo, seleccione Origen.

    5. En la lista Atributo de origen, escriba el valor del atributo que se muestra para esa fila.

    6. Seleccione Aceptar.

    7. Seleccione Guardar.

  10. En la sección Set up Citrix ADC (Configurar Citrix ADC), copie las direcciones URL pertinentes según sus necesidades.

    Copy configuration URLs

Cree un usuario de prueba de Microsoft Entra

En esta sección, se crea un usuario llamado B.Simon.

  1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de usuario.
  2. Vaya aIdentidad>Usuarios>Todos los usuarios.
  3. Seleccione Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
  4. En las propiedades del usuario, siga estos pasos:
    1. En el campo Nombre para mostrar, escriba B.Simon.
    2. En el campo Nombre principal de usuario, escriba username@companydomain.extension. Por ejemplo, B.Simon@contoso.com.
    3. Active la casilla Show password (Mostrar contraseña) y, después, anote el valor que se muestra en el cuadro Contraseña.
    4. Seleccione Revisar + crear.
  5. Seleccione Crear.

Asignación del usuario de prueba de Microsoft Entra

En esta sección, va a permitir que B.Simon acceda a Citrix ADC mediante el inicio de sesión único de Azure.

  1. Vaya a Aplicaciones de identidad>Aplicaciones>Empresariales.

  2. En la lista de aplicaciones, seleccione Citrix ADC.

  3. En la información general de la aplicación, en Administrar, seleccione Usuarios y grupos.

  4. Seleccione Agregar usuario. Después, en el cuadro de diálogo Agregar asignación, seleccione Usuarios y grupos.

  5. En el cuadro de diálogo Usuarios y grupos, en la lista Usuarios seleccione B.Simon. Elija Seleccionar.

  6. Si espera que se asigne un rol a los usuarios, puede seleccionarlo en la lista desplegable Seleccionar un rol. Si no se ha configurado ningún rol para esta aplicación, verá seleccionado el rol "Acceso predeterminado".

  7. En el cuadro de diálogo Agregar asignación, seleccione Asignar.

Configuración del inicio de sesión único de Citrix ADC

Seleccione un vínculo para ver los pasos para el tipo de autenticación que desea configurar:

Publicación del servidor web

Para crear un servidor virtual:

  1. Seleccione Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

    Citrix ADC configuration - Services pane

  3. Establezca los siguientes valores para el servidor web que ejecuta las aplicaciones:

    • Nombre del servicio

    • IP de servidor/ Servidor existente

    • Protocolo

    • Puerto

      Citrix ADC configuration pane

Configuración del equilibrador de carga

Para configurar el equilibrador de carga:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. Seleccione Agregar.

  3. Establezca los valores siguientes tal y como se describe en la captura de pantalla:

    • Nombre
    • Protocolo
    • Dirección IP
    • Puerto

  4. Seleccione Aceptar.

    Citrix ADC configuration - Basic Settings pane

Enlace del servidor virtual

Para enlazar el equilibrador de carga con el servidor virtual:

  1. En el panel Services and Service Groups (Servicios y grupos de servicios), seleccione No Load Balancing Virtual Server Service Binding (No hay enlace de servicio del servidor virtual de equilibrio de carga).

    Citrix ADC configuration - Load Balancing Virtual Server Service Binding pane

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, a continuación, seleccione Close (Cerrar).

    Citrix ADC configuration - Verify the virtual server services binding

Enlace del certificado

Para publicar este servicio como TLS, enlace el certificado de servidor y, a continuación, pruebe la aplicación:

  1. En Certificate (Certificado), seleccione No Server Certificate (Ningún certificado de servidor).

    Citrix ADC configuration - Server Certificate pane

  2. Compruebe la configuración como se muestra en la siguiente captura de pantalla y, a continuación, seleccione Close (Cerrar).

    Citrix ADC configuration - Verify the certificate

Perfil de SAML de Citrix ADC

Para configurar el perfil de SAML de Citrix ADC, complete las secciones siguientes:

Creación de una directiva de autenticación

Para crear una directiva de autenticación:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Policies (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas de autenticación).

  2. Seleccione Agregar.

  3. En el panel Create Authentication Policy (Crear directiva de autenticación), escriba o seleccione los valores siguientes:

    • Name: escriba un nombre para la directiva de autenticación.
    • Acción: Escriba SAML y seleccione Add (Agregar).
    • Expression (Expresión): Escriba true.

    Citrix ADC configuration - Create Authentication Policy pane

  4. Seleccione Crear.

Creación de un servidor SAML de autenticación

Para crear un servidor SAML de autenticación, vaya al panel Create Authentication SAML Server (Crear servidor SAML de autenticación) y, a continuación, complete los pasos siguientes:

  1. En Name (Nombre), escriba un nombre para el servidor SAML de autenticación.

  2. En Export SAML Metadata (Exportar metadatos de SAML):

    1. Active la casilla Import Metadata (Importar metadatos).

    2. Escriba la dirección URL de metadatos de federación para la interfaz de usuario de SAML de Azure que haya copiado de Azure Portal.

  3. En Issuer Name (Nombre del emisor), escriba la dirección URL correspondiente.

  4. Seleccione Crear.

Citrix ADC configuration - Create Authentication SAML Server pane

Creación de un servidor virtual de autenticación

Para crear un servidor virtual de autenticación:

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Authentication Virtual Servers (Seguridad > AAA - Tráfico de aplicación > Directivas > Autenticación > Servidores virtuales de autenticación).

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para el servidor virtual de autenticación.

    2. Active la casilla Non-Addressable (No direccionable).

    3. En Protocol (Protocolo), seleccione SSL.

    4. Seleccione Aceptar.

    Citrix ADC configuration - Authentication Virtual Server pane

Configuración del servidor virtual de autenticación para usar Microsoft Entra ID

Modifique dos secciones para el servidor virtual de autenticación:

  1. En el panel Advanced Authentication Policies (Directivas de autenticación avanzadas), seleccione No Authentication Policy (Sin directiva de autenticación).

    Citrix ADC configuration - Advanced Authentication Policies pane

  2. En el panel Policy Binding (Enlace de directiva), seleccione la directiva de autenticación y, a continuación, seleccione Bind (Enlazar).

    Citrix ADC configuration - Policy Binding pane

  3. En el panel Form Based Virtual Servers (Servidores virtuales basados en formularios), seleccione No Load Balancing Virtual Server (Ningún servidor virtual de equilibrio de carga).

    Citrix ADC configuration - Form Based Virtual Servers pane

  4. En Authentication FQDN (FQDN de autenticación), escriba un nombre de dominio completo (obligatorio).

  5. Seleccione el servidor virtual de equilibrio de carga que quiere proteger con la autenticación de Microsoft Entra.

  6. Seleccione Enlazar.

    Citrix ADC configuration - Load Balancing Virtual Server Binding pane

    Nota:

    Asegúrese también de seleccionar Done (Listo) en el panel Authentication Virtual Server Configuration (Configuración del servidor virtual de autenticación).

  7. Para comprobar los cambios, en un explorador, vaya a la dirección URL de la aplicación. Debería ver la página de inicio de sesión de inquilino en lugar del acceso no autenticado que habría visto anteriormente.

    Citrix ADC configuration - A sign-in page in a web browser

Configuración del inicio de sesión único de Citrix ADC para la autenticación basada en encabezados

Configuración de Citrix ADC

Para configurar Citrix ADC para la autenticación basada en encabezados, complete las secciones siguientes.

Creación de una acción de reescritura

  1. Vaya a AppExpert>Rewrite>Rewrite Actions (AppExpert > Reescritura > Acciones de reescritura).

    Citrix ADC configuration - Rewrite Actions pane

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba una nombre para la acción de reescritura.

    2. En Type (Tipo), escriba INSERT_HTTP_HEADER.

    3. En Header Name (Nombre de encabezado), escriba un nombre de encabezado (en este ejemplo, se usa SecretID).

    4. En Expresión, escriba aaa.USER.ATTRIBUTE("mySecretID"), donde mySecretID es la notificación de SAML de Microsoft Entra enviada a Citrix ADC.

    5. Seleccione Crear.

    Citrix ADC configuration - Create Rewrite Action pane

Creación de una directiva de reescritura

  1. Vaya a AppExpert>Rewrite>Rewrite Policies (AppExpert > Reescritura > Directivas de reescritura).

    Citrix ADC configuration - Rewrite Policies pane

  2. Seleccione Add (Agregar) y, después, complete los pasos siguientes:

    1. En Name (Nombre), escriba un nombre para la directiva de reescritura.

    2. En Action (Acción), seleccione la acción de reescritura que ha creado en la sección anterior.

    3. En Expression (Expresión), escriba true.

    4. Seleccione Crear.

    Citrix ADC configuration - Create Rewrite Policy pane

Enlace de la directiva de reescritura a un servidor virtual

Para enlazar una directiva de reescritura a un servidor virtual mediante la GUI:

  1. Vaya a Traffic Management>Load Balancing>Services (Administración del tráfico > Equilibrio de carga > Servicios).

  2. En la lista de servidores virtuales, seleccione el servidor virtual al que desee enlazar la directiva de reescritura y, después, seleccione Open (Abrir).

  3. En el panel Load Balancing Virtual Server (Servidor virtual de equilibrio de carga), en Advanced Settings (Configuración avanzada), seleccione Policies (Directivas). Todas las directivas configuradas para la instancia de NetScaler aparecen en la lista.

    Screenshot that shows the

    Citrix ADC configuration - Load Balancing Virtual Server pane

  4. Active la casilla situada junto al nombre de la directiva que desea enlazar a este servidor virtual.

    Citrix ADC configuration - Load Balancing Virtual Server Traffic Policy Binding pane

  5. En el cuadro de diálogo Choose Type (Elegir tipo):

    1. En Choose Policy (Elegir directiva), seleccione Traffic (Tráfico).

    2. En Choose Type (Elegir tipo), seleccione Request (Solicitud).

    Citrix ADC configuration - Policies dialog box

  6. Seleccione Aceptar. Un mensaje en la barra de estado indica que la directiva se ha configurado correctamente.

Modificación del servidor SAML para extraer atributos de una notificación

  1. Vaya a Security>AAA – Application Traffic>Policies>Authentication>Advanced Policies>Actions>Servers (Seguridad > AAA – Tráfico de aplicación > Directivas > Autenticación > Directivas avanzadas > Acciones > Servidores).

  2. Seleccione el servidor SAML de autenticación adecuado para la aplicación.

    Citrix ADC configuration - Configure Authentication SAML Server pane

  3. En el panel Attributes (Atributos), especifique los atributos de SAML que desee extraer, separados por comas. En nuestro ejemplo, se especifica el atributo mySecretID.

    Citrix ADC configuration - Attributes pane

  4. Para comprobar el acceso, en la dirección URL de un explorador, busque el atributo de SAML en Colección de encabezados.

    Citrix ADC configuration - Headers Collection at the URL

Creación de un usuario de prueba de Citrix ADC

En esta sección, se creará un usuario llamado B.Simon en Citrix ADC. Citrix ADC admite el aprovisionamiento de usuarios Just-In-Time, que está habilitado de forma predeterminada. El usuario no tiene que hacer nada en esta sección. Si el usuario no existe aun en Citrix ADC, se creará uno después de la autenticación.

Nota:

Si necesita crear un usuario de forma manual, póngase en contacto con el equipo de soporte técnico de Citrix ADC.

Prueba de SSO

En esta sección va a probar la configuración de inicio de sesión único de Microsoft Entra con las siguientes opciones.

  • Haga clic en Probar esta aplicación, esto redirigirá a la dirección URL de inicio de sesión de Citrix donde puede poner en marcha el flujo de inicio de sesión.

  • Acceda directamente a la URL de inicio de sesión de Citrix ADC y ponga en marcha el flujo de inicio de sesión desde ahí.

  • Puede usar Mis aplicaciones de Microsoft. Al hacer clic en el icono de Citrix ADC en Mis aplicaciones, se le redirigirá a la dirección URL de inicio de sesión de la aplicación. Para más información acerca de Aplicaciones, consulte Inicio de sesión e inicio de aplicaciones desde el portal Aplicaciones.

Pasos siguientes

Una vez que haya configurado Citrix ADC, puede aplicar el control de sesión, que protege su organización en tiempo real frente a la filtración e infiltración de información confidencial. El control de sesión procede del acceso condicional. Aprenda a aplicar el control de sesión con Microsoft Defender para aplicaciones en la nube.